Gli accordi basati sui risultati sono contratti in cui il fornitore viene valutato in base ai risultati conseguiti, non in base al numero di persone o alle ore fatturabili. Nella sicurezza informatica, questo sposta l'attenzione da "quante persone ci hanno lavorato" a "il rischio è diminuito?" Gli acquirenti usano questo modello per la risposta agli incidenti, i test di penetrazione, il rafforzamento del cloud e i progetti di remediation quando vogliono una chiara responsabilità per il contenimento, il ripristino o i miglioramenti dei controlli.
Questo è importante perché il lavoro di sicurezza può essere gonfiato da attività non necessarie, mentre il vero progresso dipende da risultati misurabili: persistenza rimossa, vulnerabilità chiuse, copertura di rilevamento migliorata o servizio ripristinato. I buoni accordi definiscono i criteri di successo, i requisiti di evidenza e le tempistiche, così entrambe le parti sanno cosa significa "completato". In pratica, i difensori possono pagare per una bonifica da ransomware completata, per un'implementazione zero trust convalidata o per un programma di patch verificato. I team di sicurezza hanno comunque bisogno di supervisione, perché un contratto legato ai risultati può incentivare la rapidità, e la rapidità può causare errori se i test, il controllo delle modifiche e la verifica sono deboli.